google 폐쇄로 콘텐츠 보안 정책

Question

내 웹 응용 프로그램에 CSP를 사용하도록 설정하려고합니다. 내 정책은 다음과 같습니다.

"default-src 'self'gap : cdvfile :;"

자바 스크립트에 google closure를 사용하고 있습니다.

goog.json.parse는 평가()

내가 폐쇄 컴파일러 내 코드를 컴파일하면 컴파일 사전에 아무런 문제가 없습니다를 사용하지만 자바 스크립트 최적화하지 않고, 내 JS 때문에의 차단 , eval()은 사용되지 않습니다. (JSON.parse가 사용됨)

나는 회피책으로 sha256-..... 또는 nonce=....을 사용할 수 있음을 알고 있습니다.

다른 방법이 있습니까? sha.. 또는 nonce..을 사용하지 않고 CSP를 사용할 수 있습니다.

Answer 1

코드에 goog.json.USE_NATIVE_JSON = true;을 추가하면 eval이 사용되지 않는다고 생각합니다.